美国Xero组织无交互数据提取的最佳Machine-to-Machine解决方案咨询

因为Custom Connection暂不支持美国区组织，当前能实现无交互数据提取的最优方案是结合OAuth2离线访问权限与长期刷新令牌，具体操作如下：

• 首次手动完成一次标准OAuth2授权流程，必须请求offline_access scope，获取包含刷新令牌的授权响应。
• 加密保存初始的访问令牌、刷新令牌及令牌过期时间。
• 后续每日自动执行数据提取时，无需用户交互：
  1. 先检查当前访问令牌是否过期，未过期则直接调用API；
  2. 若令牌已过期，调用Xero令牌刷新端点，用保存的刷新令牌换取新的访问令牌和刷新令牌；
  3. 使用新访问令牌完成数据提取，同时更新保存的令牌信息。

需要注意的核心细节：

• 首次授权必须包含offline_access权限，否则无法获取长期有效的刷新令牌。
• 每次刷新令牌时，Xero会返回新的刷新令牌，务必替换旧令牌保存，避免旧令牌失效导致自动流程中断。
• 令牌需加密存储在安全的服务器环境中，防止敏感信息泄露。

目前Xero官方针对美国区组织尚未推出专门的M2M认证方式，上述离线授权方案是当前唯一可行的无交互替代方案，只要妥善维护刷新令牌，就能实现稳定的每日自动数据提取。

内容的提问来源于stack exchange，提问作者ssmmaarr